Dyrektywa NIS2: wzmocnienie cyberbezpieczeństwa w celu ochrony przed cyberprzestępczością

W 2024 r. cyberprzestępczość osiągnęła najwyższy poziom w historii, wywierając wpływ na rządy i branże na całym świecie i zagrażając bezpieczeństwu kluczowych danych i infrastruktury. Według raportu Cybersecurity Ventures do 2025 r. straty związane z cyberprzestępczością osiągną poziom 10,5 biliona dolarów rocznie (w 2015 r. ich wartość wyniosła 3 biliony dolarów{{Footnote.A74148}}).

Wzrost ten jest spowodowany coraz bardziej wyrafinowanymi cyberatakami, atakami ransomware i naruszeniami bezpieczeństwa danych, a częstotliwość i dotkliwość ataków rośnie z roku na rok. Światowe Forum Ekonomiczne w raporcie Global Risk Report 2023{{Footnote.A74149}} zwraca uwagę, że zagrożenia cybernetyczne są obecnie jednym z najpoważniejszych problemów w wymiarze globalnym i podkreśla pilną potrzebę wprowadzenia skutecznych środków cyberbezpieczeństwa.

Aby przeciwdziałać temu narastającemu zagrożeniu, Unia Europejska wprowadziła dyrektywę NIS2, która jest znaczącą aktualizacją pierwotnej dyrektywy NIS (dyrektywa w sprawie sieci i systemów informatycznych) z 2016 r., obejmującą więcej elementów kluczowej infrastruktury i większą liczbę dostawców usług kluczowych.

Dyrektywa NIS2 ma na celu wzmocnienie cyberbezpieczeństwa kluczowej infrastruktury w całej Unii Europejskiej dzięki zapewnieniu większej odporności i skuteczniejszej ochrony przed naruszeniami danych i szkodami spowodowanymi przez cyberprzestępców.

Ekspert ds. bezpieczeństwa, David Clarke, omawia najważniejsze różnice między dyrektywami NIS i NIS2

Przedmiot i zakres: Pierwotna dyrektywa NIS skupiała się przede wszystkim na operatorach usług kluczowych i dostawcach usług cyfrowych. Dyrektywa NIS2 rozszerza swój zakres, obejmując średnie i duże podmioty z większej liczby sektorów, w tym opieki zdrowotnej, transportu, energetyki, bankowości i administracji publicznej. Oznacza to, że teraz więcej organizacji i instytucji rządowych musi przestrzegać rygorystycznych standardów cyberbezpieczeństwa.

Wymogi bezpieczeństwa: Dyrektywa NIS2 wprowadza bardziej szczegółowe wymogi dotyczące bezpieczeństwa. Organizacje muszą wdrożyć środki zarządzania ryzykiem, przeprowadzać regularne oceny bezpieczeństwa i opracować strategie reagowania na incydenty. Dyrektywa nakazuje stosowanie szyfrowania i kontroli dostępu w celu ochrony poufnych danych.

Zgłaszanie incydentów: Pierwotna dyrektywa NIS nakładała na podmioty obowiązek zgłaszania istotnych incydentów bez zbędnej zwłoki. Dyrektywa NIS2 zaostrza ten wymóg, nakazując zgłaszanie incydentów w ciągu 24 godzin od ich wykrycia, aby zapewnić szybsze reagowanie na ataki i związane z nimi zakłócenia.

Nadzór i egzekwowanie: Dyrektywa NIS2 wzmacnia rolę organów krajowych w zakresie nadzoru i egzekwowania zgodności z przepisami. Kary za nieprzestrzeganie przepisów są również surowsze i mogą sięgać nawet 10 milionów euro lub 2% całkowitego rocznego obrotu firmy (zależnie od tego, która kwota jest wyższa).

Bezpieczeństwo w łańcuchu dostaw: Dyrektywa NIS2 podkreśla znaczenie zabezpieczenia kluczowych łańcuchów dostaw, wymagając od firm i instytucji rządowych oceny ryzyka i zarządzania zagrożeniami dla cyberbezpieczeństwa ze strony dostawców produktów i usług.

Kogo to dotyczy?

Rozszerzony zakres dyrektywy NIS2 oznacza, że będzie ona dotyczyć większej liczby sektorów. Należą do nich m.in. energetyka, transport, bankowość, infrastruktura rynku finansowego, opieka zdrowotna, zaopatrzenie w wodę pitną i jej dystrybucja, infrastruktura cyfrowa, administracja publiczna oraz sektor lotnictwa i kosmonautyki. Średnie i duże przedsiębiorstwa z tych sektorów muszą zapewnić zgodność z nową dyrektywą od 17 października 2024 r.

Potencjalne kary

Niedostosowanie się do wymogów dyrektywy NIS2 może skutkować nałożeniem wysokich kar pieniężnych. Organizacjom, które nie będą spełniać wymaganych standardów lub nie zgłoszą incydentów w odpowiednim czasie, grożą kary w wysokości do 10 milionów euro lub 2% całkowitego rocznego obrotu. Tak surowe kary wskazują, jak ważne jest przestrzeganie wymogów dyrektywy, aby uniknąć strat finansowych i wizerunkowych.

Podmioty spoza UE

Dyrektywa NIS2 będzie mieć również wpływ na podmioty, które nie mają siedziby na terenie UE. Jeśli dana organizacja działa na terenie UE lub współpracuje z jakimkolwiek podmiotem z UE, podlega tym przepisom oraz wszelkim ewentualnym karom za ich nieprzestrzeganie.